Esto no es una respuesta definitiva, pero al menos puede ayudarte a establecer una Política o Procedimiento para resolver un hackeo.
La dejo como Wiki de comunidad por si alguien quiere aportar algo más:
Cuando te inyectan código malicioso es decepcionante (en Wordpress lo es particularmente, porque trabaja con muchos archivos relacionados que se llaman el uno al otro). Eso implica que no te sirve de nada limpiar el archivo 3 en esa cadena de llamadas que hace Wordpress si en el archivo 2 o en el archivo 7 hay código malicioso que se propaga.
La decepción despierta en ti el espíritu de venganza y te hace preguntarte ¿quién y por dónde se han metido en mi sitio? Olvídalo, quizá nunca lo sepas y si lo sabes no podrás hacer nada, el hacker puede estar a miles de kilómetros de ti o puede ser tu vecino. Si logras saber por donde entraron te felicito, pero tampoco te sirve de nada. Generalmente hackean tu WP porque tienes plugin viejos, desactualizados o temas viejos desactualizados o porque tenías contraseñas fáciles como micuchicuchi72
. O, PEOR TODAVÍA, puedes tener un troyano en tu propio equipo. Así que revisa tu equipo también, porque de tener un troyano estás totalmente expuesto, no solo tu Wordpress.
Norma sobre plugins y temas
Nunca más instales en WP ningún plugin que diga actualizado hace 1 año, o 6 meses o algo así. Decide tú un parámetro, pero desde que un plugin pasa de 6 meses sin actualizar puede ser peligroso. Y, en un futuro, cuando aprendas un poco más sobre PHP, deshazte lo más que puedas de los plugin, creando tu propio código.
Norma sobre contraseñas
Usa contraseñas fuertes, al estilo: fDvoC^p3Fyg?BrQ].M;Q7VnccURF+J;#Jg36e&Bjzg8JMPyVy+
No es broma. Hoy día hay programas potentes para descifrar contraseñas cuchicuchi
A. Pasos inmediatos para resolver el hackeo
Cambia todas las contraseñas y nombres de usuario allí donde sea posible:
- cuenta de cPanel (en el hosting)
- en Wordpress (esto se hará en el paso 3)
Usa en todo contraseñas larguísimas, parecidas a esta: )%mU+Lj}m]Pg6Kqsd}c.8J}XhMMhyLJf6,uUkUF@4B8jtfDyUN
No estoy exagerando. Luego la guardas en un sitio seguro. Haz lo mismo para tus contraseñas de Wordprees y de la base de datos. Hoy día hay programas potentes para descifrar contraseñas como miqueridoperro1978
.
Haz una copia de seguridad en local de toda tu carpeta de Wordpress. Para ello, entra vía SFTP o vía SSH a tu sitio (hoy día hay buenos programas, gratuitos, que permiten acceder con seguridad a los archivos/carpetas de un sitio remoto). Hay otros más sofisticados (generalmente de pago), que permiten acceder incluso a las bases de datos del sitio.
Cuando tengas todos tus archivos en local, bien seguros, borra toda la instalación de Wordpress, todas las carpetas e instala de nuevo un Wordpress totalmente nuevo. No seas tonto, usa otro nuevo nombre de usuario administrador y una nueva contraseña, larga, como explico más arriba.
Llegó el momento de aprender a lidiar con la base de datos directamente. Wordpress guarda casi todo en tablas de la base de datos. Ahora vas a tener en tu sistema dos bases de datos: la base de datos vieja, del Wordpress que que hackearon y la base de datos nueva, del nuevo WP que instalaste.
En la base de datos vieja estará casi todo lo que te interesa, sobre todo los posts. WP usa por lo general un sistema de nombrado de tablas que consiste en un prefijo aleatorio y luego siguen nombres como _posts
, _options
, _users
, _excerpt
, etc. En la tabla que contiene la palabra _posts
están todas tus entradas de WP. Así que ningún pánico. Pero atento, dependiendo del alcance del hackeo, pueden haberte metido código con instrucciones tipo eval(this_code_is_evil)
dentro del contenido de los posts. Conviene que vayas revisando uno por uno. Si son miles de posts entonces podrías quizá revisar en la base de datos por fecha de actualización, así verás si posts viejos fueron actualizados recientemente, entonces serían sospechosos.
Bien, decía que tienes que aprender a lidiar con la base de datos directamente. Eso lo puedes hacer a través de la interfaz PHPMyAdmin (algo lenta por lo general para mi gusto pero que te va a ayudar mucho) o usar un programa de terceros que te conecte desde tu equipo a tu base de datos remota.
¿Por qué esto? Porque desde la base de datos conviene que vayas revisando los posts y los vayas pasando de la vieja tabla (la hackeada) a la nueva tabla, previa revisión.
Ten en cuenta que los posts tienen un ID
y esto es muy importante en Wordpress, entonces, pasa los posts a la nueva tabla con el ID
que tenían en la vieja. Dado que el ID
auto incremental, conviene que empieces revisando los posts del más viejo al más nuevo.
Lo ideal es tener un backup de la base de datos que se genere periódicamente, así posiblemente tengas uno anterior al ataque y no tengas que reconstruir nada a partir de lo que ya está comprometido. Si esto no existe ahora mismo, piensa en la posibilidad de hacerlo desde ahora y, para esta ocasión, trabajar el doble y revisar registro a registro para asegurarte de no tener código dentro de la información en la base de datos que pueda estar aprovechando alguna vulnerabilidad y se ejecute en tu nueva instalación.
Las imágenes, se encuentran en la carpeta Uploads
. En el paso 2 se indicó que hicieras una copia de seguridad en local de todo tu WP. Allí estará también la carpeta que contiene las imágenes de tu sitio. Aunque son imágenes no te fíes, al menos pasa un antivirus a esa carpeta. Luego abre las sub-carpetas año por año y mes por mes y revisa que contenga sólo imágenes usando un preview, las que no se abran son sospechosas. Una vez revisadas las puedes incorporar a la carpeta Uploads
de tu nuevo Wordpress. Si tu sitio es pequeño, mejor sube las imágenes de nuevo, editando cada post, así trabajarás más sobre seguro.
Otro posible código PHP que hayas escrito tú mismo. Ese código estará en la carpeta adecuada de tu copia de seguridad (hecha en el paso 2). Supongamos que has escrito funciones propias, clases, hooks, etc. Lo puedes incorporar a tu sitio, pero antes debes revisarlo muy bien, línea por línea. El código más peligroso son los archivos PHP, porque se ejecutan sin restricción en el servidor. El hacker pudo haber puesto código del tipo eval(this_code_is_evil)
en cualquier parte de cualquier archivo PHP, el cual cuando se ejecute, propagará la infección de nuevo en todo tu WP. Es importante documentarte sobre qué otros bloques de código suelen inyectarse (incluso, es necesario revisar cuando usan largas cadenas de caracteres unicode u operaciones sobre bits, todo tratando de ofuscar sus intenciones).
Otro código utilitario como hojas de estilo CSS, Javascript, etc. También lo puedes incorporar en la nueva instalación, previa revisión de su contenido. El hacker pudo haber inyectado código malicioso también en esos archivos.
B. El peligro de la desesperación
No te desesperes. Acepta que quizá tu sitio estará off-line por uno o dos días (o por horas, el tiempo que tardes en hacer la nueva instalación y subir algún contenido previamente verificado) y que pasarán X días hasta que el contenido esté plenamente normal.
No recurras a soluciones fáciles, inmediatas, plugins anti-hackeo, etc. Un hackeo es algo muy complicado y no creo que haya mecanismos mágicos para resolverlo. Puedes pasar horas arreglando todo y con un mínimo descuido tienes un código invasor en cualquier parte que te empieza de nuevo a dañar todo de nuevo. Tienes que desmontar el motor y armarlo de nuevo pieza por pieza. Si una pieza está rota, hay que cambiarla.
C. Aprender de la experiencia
Nunca más dejes plugins desactualizados en tu WP. No pueden pasar semanas sin que entres en tu WP como administrador, pudiendo ver los plugin que hay que actualizar, etc. Con una contraseña difícil y plugin al día es difícil que hackeen tu sitio.
De todos modos, evita los plugin lo más que puedas. Con un poco de conocimiento de PHP los puedes sustituir casi todos, escribiendo tu propio código para las funciones que hacen los plugin... Ganas en seguridad y también en velocidad del sitio.
Ah, si tu hosting no es serio, cambia a uno aceptable: Bluehost, Go Daddy, Hostgator ... y otros cuantos más que ahora no recuerdo.
Esto es lo que se me ocurre por el momento. Si alguien ve que se me olvida algo importante que edite la respuesta y lo ponga, por eso la he marcado como Wiki de comunidad.
Si tienes más dudas pregunta en comentarios.
posts
(previa revisión de su contenido) y otras pocas más. Si usabas estilos CSS que estaban en algún archivo, lo puedes recuperar y revisarlo para incorporarlo de nuevo al sitio, así como recuperar el contenido de la carpetauploads
por ejemplo, donde estarían las imágenes (revisando que no haya nada extraño en esa carpeta). Es algo trabajoso, pero nada mejor que empezar de cero en estos casos e ir incorporando el contenido previa revisión.prefijoRaro_posts
o algo así. Si exploras la base de datos verás muchas tablas con un prefijo raro, luego un guión bajo, y luego los nombres como_posts
,_options
,_users
, etc. En la tabla_posts
está todo el contenido de tus entradas, pero como te digo, debes revisar el contenido de las entradas mismas, dependiendo del alcance del ataque pudieron haberte inyectado código en el contenido mismo de tus entradas.